xiaohack's Blog - 恶意软件
type: channel
link: https://blog.xiaohack.org/tag/%E6%81%B6%E6%84%8F%E8%BD%AF%E4%BB%B6/
items: 威胁行为者将Visual Studio Code武器化，部署多阶段恶意软件
items: 【论文分享】被滥用的信任：Windows 代码签名滥用测量研究
items: ValleyRAT_S2病毒攻击组织：投放隐匿恶意软件，窃取金融敏感信息
items: 【应急响应】挖矿病毒应急响应处置手册
items: 【论文分享】从混乱到清晰：面向安全分析的综合性JavaScript反混淆
items: 黑客利用c-ares DLL侧加载绕过安全防护并部署恶意软件
items: 乌克兰军队成为新型慈善主题恶意软件攻击目标
items: 2025年攻击者如何利用AI？我们应从中汲取什么教训？

威胁行为者将Visual Studio Code武器化，部署多阶段恶意软件
type: item
date: 2026-01-23T10:29:40+08:00
description: 威胁行为者正将 Visual Studio Code 变为攻击平台，借助其完善的扩展生态系统，向开发者工作站植入多阶段恶意软件。 此次最新攻击活动被命名为伊夫林窃取程序，该恶意程序隐匿于一款恶意扩展中，通过数个精心设计的攻击阶段，向目标端投放一款具备隐秘性的信息窃取工具。 攻击者的目标并非普通终端用户，而是开发者群体—— 这类人群往往掌握着源代码、云控制台及加密货币资产的核心访问权限。 攻击从受害者安装一款伪装成实用或无害的植毒 Visual Studio Code 扩展开始，该扩展会在后台释放伪造的 Lightshot.dll 组件，随后这一组件会被正版截图工具 Lightshot.exe 加载运行。 此后恶意软件攻击链逐步展开，不仅会远程获取新的攻击载荷、执行隐藏的 PowerShell 命令，还会为最终实现大规模数据窃取的伊夫林窃取程序可执行文件搭建运行环境。 趋势科技分析师指出，攻击者将用户对Visual Studio Code 应用市场的信任当作可利用的武器，以恶意扩展为载体构建完整攻击链，实现从初始加载器启动到最终数据窃取的全流程攻击。 攻击者通过滥用 Lightshot 这类开发者常用工具，并采用仿签名的导出方式，让攻击第一阶段融入开发者的正常操作流程，同时在后台悄然为后续的入侵环节做准备。 伊夫林窃取程序完全执行后，会从受感染设备中窃取浏览器密码、Cookie、加密货币钱包、即时通讯会话记录、VPN 配置文件、Wi-Fi 密钥及各类敏感文件。同时该程序还会捕获设备截图和详细的系统信息，将所有数据压缩为单个压缩包后，上传至攻击者控制的 FTP 服务器。 对企业而言，仅一台开发者笔记本电脑被感染，就可能导致源代码、云访问令牌及生产环境凭证泄露，让一次工具链的使用疏漏，演变为波及范围广泛的安全入侵事件。 多阶段感染链的技术细节 攻击的第一阶段隐藏在恶意 Visual Studio Code 扩展内，伪装为 Lightshot.dll 文件，每当用户进行截图操作时，该文件就会被 Lightshot.exe 调用执行。 该下载器被触发后，会执行一条隐藏的 PowerShell 命令，从远程域名拉取名为 iknowyou.model 的第二阶段攻击文件，将其另存为 runtime.exe 并运行。 伊夫林窃取程序的攻击载荷会在设备中创建AppData\Evelyn 文件夹，向 Edge 和 Chrome 浏览器注入 abe_decrypt.dll 文件，最终将窃取的数据打包为 ZIP 压缩包，通过 FTP 协议完成上传。

【论文分享】被滥用的信任：Windows 代码签名滥用测量研究
type: item
date: 2026-01-21T16:30:20+08:00
description: 一、代码签名沦为恶意软件的“护身符”当你在运行某个软件时，看到如下所示的弹框，“已验证的发布者：XXX有限公司”，你是否会不假思索地点击“是”？然而，大量安全事件表明这样的信任已经被攻击者滥用，看似安全的软件来源可能来自于精心设计的伪装。近年来，软件供应链安全事件频发，为了保护软件真实性与完整性，代码签名机制应运而生。代码签名主要依赖公钥基础设施 PKI 技术，旨在确保软件来自真实来源且软件内容未被篡改。当终端用户安装或以管理员权限运行软件时，操作系统会验证代码签名的有效性，帮助用户判断此软件是否值得信任（如上图所示）。然而，攻击者有时会反过来利用代码签名 PKI 信任体系中的安全缺陷，通过某种手段为恶意软件配置代码签名，帮助恶意软件绕过操作系统和杀毒软件的检查，我们称之为“代码签名滥用”。为了应对代码签名滥用带来的安全威胁，奇安信技术研究院星图实验室与清华大学、中关村实验室联合研究团队在 NDSS 2026 会议上发表了论文《Understanding the Status and Strategies of the Code Signing Abuse Ecosystem》。这项工作由清华大学和奇安信联合培养的卓越工程师计划博士研究生赵汉卿主导完成，导师为段海新教授（清华大学）和应凌云博士（奇安信星图实验室）。其他作者分别为张一铭（清华大学）、张明明（中关村实验室）、刘保君（清华大学）、游子权（清华大学）、张书豪（奇安信星图实验室）。在这项工作中，我们利用从真实世界中收集的 3,216,113 个已签名的恶意 PE 文件，对 Windows 代码签名滥用行为进行了大规模测量。通过细粒度的代码签名滥用检测分类算法，我们检测到了 43,286 张滥用证书，构建了迄今为止最大的滥用标记数据集。分析发现当前代码签名滥用现象普遍存在，影响了 46 家 CA 厂商以及 114 个国家或地区的证书。我们发现了五种滥用者的攻击策略，并根据当前代码签名 PKI 存在的安全缺陷提出了若干缓解措施。二、代码签名研究的三大挑战与传统的 Web PKI 不同，代码签名 PKI 测量研究存在三大挑战：缺少大规模数据集：在 Web PKI 中，研究者可以通过 TLS 扫描主动收集数据或被动分析 TLS 流量。Censys 和 Rapid7 等公共数据集也能为测量工作提供支持。此外，证书透明度（CT）机制提供了 CA 颁发记录，方便研究者批量获取证书数据。然而，代码签名生态系统相对封闭，无法通过主动扫描或 CT 等手段获取大规模数据集，这是制约代码签名测量研究的最大障碍。缺少 Ground Truth：尽管近年来代码签名滥用事件频发，但是学术界尚未找到代码签名滥用检测分类相关的 Ground Truth，以往基于签发行为的分类方法被证实可能会被攻击者绕过。这阻碍了对代码签名证书进行标注和聚类分析。问题根源难以溯源：CA 端的操作和实现并不透明，即便定位到代码签名滥用行为，也难以由此溯源到造成滥用的根源所在，导致无法提出有针对性的缓解措施。我们的工作分别通过综合公共数据集与私有沙箱样本、设计基于撤销信息的滥用检测分类算法、按照不同滥用类型作细粒度分析等方法解决了以上三大挑战。三、代码签名滥用测量的创新方法设计为了解决以上挑战，我们提出了针对代码签名滥用测量的一系列创新方法设计，以实现大规模、细粒度、可溯源的滥用测量分析。数据收集方面，我们综合了公共数据集与私有沙箱样本。我们收集了公共恶意软件存储库 VirusShare 在 2020 年 10 月至 2024 年 10 月期间发布的所有样本，经过过滤保留了 176,968 个签名 PE 样本。此外，我们还从合作公司沙箱中补充收集了 3,828,744 个签名的 PE 文件。两个数据集通过合并去重后共得到 3,962,788 个签名样本，通过反病毒引擎分析最终筛选出了 3,216,113 个恶意签名样本。此外，我们还从多个维度对样本特征进行了扩充，比如爬取 CRL 撤销信息、收集样本恶意行为分析报告等，以实现更精准的检测与分析。为了实现细粒度的分析，我们提出了一种代码签名滥用检测分类算法。受益于近年来 CA 撤销透明度的改善，我们得以通过已撤销证书被披露的撤销原因（Revocation Reason）来推知证书滥用背后的原因。我们依据样本对应的 SignTool 输出结果、CRL 撤销信息以及 OpenCorporates 查询结果设计了新的检测分类方法，将滥用分为签名复制、私钥窃取、身份盗用、空壳公司、自签证书等五种滥用类型。不同的滥用类型采取了不同的滥用手段，其产生的安全威胁与影响范围也有所不同。对于私钥窃取、身份盗用以及空壳公司这三类相对高级的滥用类型而言，由于攻击者掌握受信任证书的私钥，他们可以任意为…

ValleyRAT_S2病毒攻击组织：投放隐匿恶意软件，窃取金融敏感信息
type: item
date: 2026-01-20T00:11:58+08:00
description: 新一轮网络攻击正借助ValleyRAT_S2 恶意软件悄然入侵各类组织机构，该病毒可实现长期潜伏，并窃取目标机构的敏感金融数据。 ValleyRAT_S2 是 ValleyRAT 恶意软件家族的第二阶段载荷，基于 C++ 语言开发。一旦侵入目标网络，它就会以完整远程访问木马（RAT）的形态运行，让攻击者获得对受感染系统的高度控制权，同时搭建起稳定的数据外传通道。 当前，该攻击活动的主要传播途径为伪造的中文办公软件、破解版程序，以及伪装成人工智能表格生成工具的植马安装包。 在诸多攻击案例中，恶意软件会通过DLL 侧载技术实现植入：攻击者诱导一个带有合法数字签名的应用程序，加载看似正常的恶意动态链接库文件，例如命名为steam_api64.dll的恶意模块。 网络安全团队 APOPHiS 通过追踪多起相关攻击事件，确认ValleyRAT_S2 是此类入侵活动的核心第二阶段后门程序。除此之外，该恶意软件还会通过鱼叉式钓鱼邮件附件，以及被劫持的软件更新渠道进行传播。 恶意文档或压缩包会将载荷文件释放至系统临时文件夹等路径，例如：C:\Users\Admin\AppData\Local\Temp\AI自动化办公表格制作生成工具安装包\steam_api64.dll 攻击的第一阶段以躲避安全检测为核心目标，而 ValleyRAT_S2 则会接管后续操作，负责长期驻留控制、系统信息探查、凭证窃取及金融数据收集等关键任务。 ValleyRAT_S2 激活后，会对系统进程、文件系统及注册表项展开扫描，随后通过自定义 TCP 协议，连接预先写入代码的命令与控制（C&C）服务器，例如27.124.3.175:14852。该病毒具备文件上传下载、执行 Shell 命令、注入恶意载荷、记录键盘输入等多种功能，这些特性使其能够精准窃取网银账户凭证、支付交易数据及内部财务文档。 持久化机制与监控守护功能 ValleyRAT_S2 的一大高危特性，是其多层级持久化设计与监控守护机制，这让它能够在系统重启或手动清理后依然存活。 恶意软件会先将相关文件释放到用户的临时文件夹（Temp）和应用数据文件夹（AppData）中，创建%TEMP%\target.pid这类进程标识文件，同时在%APPDATA%\Promotions\Temp.aps路径下生成配置文件。它还会利用 COM 接口调用 Windows 任务计划程序，实现开机自启动；同时会在注册表启动项中写入备份路径，作为双重保障。 该病毒的一个关键特征是会生成一个名为monitor.bat的批处理脚本，以此构建监控守护循环。这个脚本会从target.pid文件中读取恶意主程序的进程 ID，持续检查主程序是否处于运行状态，一旦发现主程序被终止，就会自动静默重启。 以下是该脚本的简化版本： @echo off set "PIDFile=%TEMP%\target.pid" set /p pid=<"%PIDFile%" del "%PIDFile%" :check tasklist /fi "PID eq %pid%" | findstr >nul if errorlevel 1 ( cscript //nologo "%TEMP%\watch.vbs" exit ) timeout /t 15 >nul goto check 这一守护循环，能让 ValleyRAT_S2 在主进程被安全工具或管理员终止后快速恢复。此外，该恶意软件还结合了结构化异常处理、沙箱环境检测，以及进程注入技术 —— 将自身注入Telegra.exe、WhatsApp.exe等具有可信名称的进程中，以此实现隐蔽且稳固的持久化驻留。 对于防御方而言，这意味着单纯终止恶意进程无法实现彻底清除；想要根除该病毒，必须同时针对计划任务、批处理与 VBS 监控脚本、释放的恶意文件及后门进程等所有相关组件，开展一体化清除操作。

【应急响应】挖矿病毒应急响应处置手册
type: item
date: 2026-01-19T23:55:51+08:00
description: 0x00 概述通常来说，当我们的服务器或PC资源(CPU)使用率接近或超过100%，并持续高居不下导致服务器或PC操作延缓，我们就可以判定被挖矿。常见挖矿其它特征如下：服务器或PC访问过不受信任的地址，这些地址包括：主机、IP、域名。这是由于大部分挖矿都需要从一个不受信任的地址下载初始化程序，而不受信任的来源主要是：第三方情报结构，企业内部历史数据沉淀。 服务器或PC新增异常或恶意文件、进程或服务，并且大部分异常文件保存在服务器或PC的TMP目录中。 服务器或PC的定时任务发生变更。0x01 了解基本情况1.1 如何发现挖矿木马显著的行为特征就是极大的占用CPU及GPU和硬盘资源主要包括：高CPU和GPU、硬盘使用率、响应速度慢、崩溃或频繁重新启动、系统过热、异常网络活动（例如，连接挖矿相关的网站或IP地址）。其次是在网络流量中，挖矿木马通信过程采用专门的通信协议，因此存在一定的网络通信特征，因为要连接矿池，网络特征较多的都是TCP。1.1.1 异常外联安全设备告警 流量监控设备 工作人员人工发现 ...事件发生时的状况或安全设备告警等，能帮助应急处置人员快速分析确定事件类型，方便前期准备。1.1.2 主机异常CPU、GPU占用过高 主机温度异常 其他异常可获取CPU占用过高进程信息1.2 事件的时间节点出现事件时间 发现事件时间 处置事件时间了解事件发生时间节点：出现事件时间、发现事件时间、处置事件时间，确定这三个时间节点后，可通过时间相关性推算挖矿病毒产生大致时间，有助于后续挖矿病毒发现及清理。1.3 临时处置情况了解挖矿病毒临时处置的情况，方便后期的排查1.4 网络拓扑情况获取网络构架，网络构架一般来讲是要拓补图，详细的拓扑图可以协助还原攻击流程时，准确定位网络连接方向。0x02 判断是否属于挖矿根据了解到的基本信息来判断和确认是否挖矿事件2.1 属于挖矿2.1.1 根据告警和流量信息初步判断挖矿类型在不影响主业务运行的情况下，拔掉受害主机网线，并且切断网络连接可使挖矿现场尽量保持完整，有助于接下来的溯源工作顺利开展。可以先根据告警和流量信息初步判断挖矿类型，在互联网收集相关情报，若有相关分析文章可提高事件处置效率。2.1.2 windows2.1.2.1 信息收集CPU占用打开 cmd 窗口，输入 resmon 命令，通过资源监视器，找出CPU占用过高的程序，找到PID和进程名。网络连接1、使用netstat -ano 命令查看目前的网络连接，定位可疑的 ESTABLISHED2、根据 netstat 命令定位出的 PID 编号，再通过 tasklist 命令进行进程定位 tasklist | findstr "PID"netstat -ano tasklist | findstr "PID"端口查看Windows服务所对应的端口：%systemroot%/system32/drivers/etc/services可疑用户【计算机管理】->【本地用户和组】->【用户】选项，可查看隐藏账户，名称以$结尾的为隐藏账户。打开 cmd 窗口，输入 lusrmgr.msc 命令，查看是否有新增或可疑的账号。也可通过D盾查看系统中是否存在影子账户。计划任务a、打开控制面板->任务计划，查看计划任务属性，排查异常任务计划。b、打开 cmd 窗口，然后输入 at，检查计算机与网络上的其它计算机之间的会话或计划任务，如有，则确认是否为正常连接。进程信息a、Win+R，输入 msinfo32 命令，依次点击 "软件环境 -- 正在运行任务" 可以查看到进程的详细信息。b、通过安全分析工具进行排查。启动项a、开始->所有程序->启动，默认情况下此目录在是一个空目录，确认是否有非业务程序在该目录下。b、Win+R，输入 msconfig，查看是否存在命名异常的启动项目，是则取消勾选命名异常的启动项目，并到命令中显示的路径删除文件。c、Win+R，输入 regedit，打开注册表，查看开机启动项是否正常，检查是否有启动异常的项目。HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\run HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonced、利用安全软件查看启动项、开机时间管理。服务服务也是挖矿病毒常见的守护方式之一，将注册表中服务启动方式写为挖矿病毒主程序，从而达到守护进程目的。Win+R，输入 services.msc，注意服务状态和启动类型，检查是否有异常服务…

【应急响应】挖矿病毒应急响应处置手册
type: item
date: 2026-01-18T14:00:18+08:00
description: 0x00 概述通常来说，当我们的服务器或PC资源(CPU)使用率接近或超过100%，并持续高居不下导致服务器或PC操作延缓，我们就可以判定被挖矿。常见挖矿其它特征如下：服务器或PC访问过不受信任的地址，这些地址包括：主机、IP、域名。这是由于大部分挖矿都需要从一个不受信任的地址下载初始化程序，而不受信任的来源主要是：第三方情报结构，企业内部历史数据沉淀。 服务器或PC新增异常或恶意文件、进程或服务，并且大部分异常文件保存在服务器或PC的TMP目录中。 服务器或PC的定时任务发生变更。0x01 了解基本情况1.1 如何发现挖矿木马显著的行为特征就是极大的占用CPU及GPU和硬盘资源主要包括：高CPU和GPU、硬盘使用率、响应速度慢、崩溃或频繁重新启动、系统过热、异常网络活动（例如，连接挖矿相关的网站或IP地址）。其次是在网络流量中，挖矿木马通信过程采用专门的通信协议，因此存在一定的网络通信特征，因为要连接矿池，网络特征较多的都是TCP。1.1.1 异常外联安全设备告警 流量监控设备 工作人员人工发现 ...事件发生时的状况或安全设备告警等，能帮助应急处置人员快速分析确定事件类型，方便前期准备。1.1.2 主机异常CPU、GPU占用过高 主机温度异常 其他异常可获取CPU占用过高进程信息1.2 事件的时间节点出现事件时间 发现事件时间 处置事件时间了解事件发生时间节点：出现事件时间、发现事件时间、处置事件时间，确定这三个时间节点后，可通过时间相关性推算挖矿病毒产生大致时间，有助于后续挖矿病毒发现及清理。1.3 临时处置情况了解挖矿病毒临时处置的情况，方便后期的排查1.4 网络拓扑情况获取网络构架，网络构架一般来讲是要拓补图，详细的拓扑图可以协助还原攻击流程时，准确定位网络连接方向。0x02 判断是否属于挖矿根据了解到的基本信息来判断和确认是否挖矿事件2.1 属于挖矿2.1.1 根据告警和流量信息初步判断挖矿类型在不影响主业务运行的情况下，拔掉受害主机网线，并且切断网络连接可使挖矿现场尽量保持完整，有助于接下来的溯源工作顺利开展。可以先根据告警和流量信息初步判断挖矿类型，在互联网收集相关情报，若有相关分析文章可提高事件处置效率。2.1.2 windows2.1.2.1 信息收集CPU占用打开 cmd 窗口，输入 resmon 命令，通过资源监视器，找出CPU占用过高的程序，找到PID和进程名。网络连接1、使用netstat -ano 命令查看目前的网络连接，定位可疑的 ESTABLISHED2、根据 netstat 命令定位出的 PID 编号，再通过 tasklist 命令进行进程定位 tasklist | findstr "PID"netstat -ano tasklist | findstr "PID"端口查看Windows服务所对应的端口：%systemroot%/system32/drivers/etc/services可疑用户【计算机管理】->【本地用户和组】->【用户】选项，可查看隐藏账户，名称以$结尾的为隐藏账户。打开 cmd 窗口，输入 lusrmgr.msc 命令，查看是否有新增或可疑的账号。也可通过D盾查看系统中是否存在影子账户。计划任务a、打开控制面板->任务计划，查看计划任务属性，排查异常任务计划。b、打开 cmd 窗口，然后输入 at，检查计算机与网络上的其它计算机之间的会话或计划任务，如有，则确认是否为正常连接。进程信息a、Win+R，输入 msinfo32 命令，依次点击 "软件环境 -- 正在运行任务" 可以查看到进程的详细信息。b、通过安全分析工具进行排查。启动项a、开始->所有程序->启动，默认情况下此目录在是一个空目录，确认是否有非业务程序在该目录下。b、Win+R，输入 msconfig，查看是否存在命名异常的启动项目，是则取消勾选命名异常的启动项目，并到命令中显示的路径删除文件。c、Win+R，输入 regedit，打开注册表，查看开机启动项是否正常，检查是否有启动异常的项目。HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\run HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonced、利用安全软件查看启动项、开机时间管理。服务服务也是挖矿病毒常见的守护方式之一，将注册表中服务启动方式写为挖矿病毒主程序，从而达到守护进程目的。Win+R，输入 services.msc，注意服务状态和启动类型，检查是否有异常服务…

ValleyRAT_S2病毒攻击组织：投放隐匿恶意软件，窃取金融敏感信息
type: item
date: 2026-01-18T02:12:28+08:00
description: 新一轮网络攻击正借助ValleyRAT_S2 恶意软件悄然入侵各类组织机构，该病毒可实现长期潜伏，并窃取目标机构的敏感金融数据。 ValleyRAT_S2 是 ValleyRAT 恶意软件家族的第二阶段载荷，基于 C++ 语言开发。一旦侵入目标网络，它就会以完整远程访问木马（RAT）的形态运行，让攻击者获得对受感染系统的高度控制权，同时搭建起稳定的数据外传通道。 当前，该攻击活动的主要传播途径为伪造的中文办公软件、破解版程序，以及伪装成人工智能表格生成工具的植马安装包。 在诸多攻击案例中，恶意软件会通过DLL 侧载技术实现植入：攻击者诱导一个带有合法数字签名的应用程序，加载看似正常的恶意动态链接库文件，例如命名为steam_api64.dll的恶意模块。 网络安全团队 APOPHiS 通过追踪多起相关攻击事件，确认ValleyRAT_S2 是此类入侵活动的核心第二阶段后门程序。除此之外，该恶意软件还会通过鱼叉式钓鱼邮件附件，以及被劫持的软件更新渠道进行传播。 恶意文档或压缩包会将载荷文件释放至系统临时文件夹等路径，例如：C:\Users\Admin\AppData\Local\Temp\AI自动化办公表格制作生成工具安装包\steam_api64.dll 攻击的第一阶段以躲避安全检测为核心目标，而 ValleyRAT_S2 则会接管后续操作，负责长期驻留控制、系统信息探查、凭证窃取及金融数据收集等关键任务。 ValleyRAT_S2 激活后，会对系统进程、文件系统及注册表项展开扫描，随后通过自定义 TCP 协议，连接预先写入代码的命令与控制（C&C）服务器，例如27.124.3.175:14852。该病毒具备文件上传下载、执行 Shell 命令、注入恶意载荷、记录键盘输入等多种功能，这些特性使其能够精准窃取网银账户凭证、支付交易数据及内部财务文档。 持久化机制与监控守护功能 ValleyRAT_S2 的一大高危特性，是其多层级持久化设计与监控守护机制，这让它能够在系统重启或手动清理后依然存活。 恶意软件会先将相关文件释放到用户的临时文件夹（Temp）和应用数据文件夹（AppData）中，创建%TEMP%\target.pid这类进程标识文件，同时在%APPDATA%\Promotions\Temp.aps路径下生成配置文件。它还会利用 COM 接口调用 Windows 任务计划程序，实现开机自启动；同时会在注册表启动项中写入备份路径，作为双重保障。 该病毒的一个关键特征是会生成一个名为monitor.bat的批处理脚本，以此构建监控守护循环。这个脚本会从target.pid文件中读取恶意主程序的进程 ID，持续检查主程序是否处于运行状态，一旦发现主程序被终止，就会自动静默重启。 以下是该脚本的简化版本： @echo off set "PIDFile=%TEMP%\target.pid" set /p pid=<"%PIDFile%" del "%PIDFile%" :check tasklist /fi "PID eq %pid%" | findstr >nul if errorlevel 1 ( cscript //nologo "%TEMP%\watch.vbs" exit ) timeout /t 15 >nul goto check 这一守护循环，能让 ValleyRAT_S2 在主进程被安全工具或管理员终止后快速恢复。此外，该恶意软件还结合了结构化异常处理、沙箱环境检测，以及进程注入技术 —— 将自身注入Telegra.exe、WhatsApp.exe等具有可信名称的进程中，以此实现隐蔽且稳固的持久化驻留。 对于防御方而言，这意味着单纯终止恶意进程无法实现彻底清除；想要根除该病毒，必须同时针对计划任务、批处理与 VBS 监控脚本、释放的恶意文件及后门进程等所有相关组件，开展一体化清除操作。

【论文分享】从混乱到清晰：面向安全分析的综合性JavaScript反混淆
type: item
date: 2026-01-18T02:03:23+08:00
description: 一、当恶意代码穿上”隐身衣”：JavaScript混淆的现实威胁打开一个可疑的JavaScript文件，你可能会看到这样的代码：这不是乱码，而是攻击者精心设计的”隐身衣”——JavaScript代码混淆。这段看似天书般的代码，实际上可能隐藏着窃取用户数据、植入后门或发起网络攻击的恶意逻辑。JavaScript作为互联网前端和客户端脚本的核心语言，在网页及各类网络应用中被广泛使用，这也使其成为了攻击者的首选目标。攻击者频繁利用JavaScript的动态特性，通过多层、多样化的混淆技术隐藏恶意代码，极大增加了安全分析的难度。面对这一日益严峻的安全威胁，奇安信技术研究院星图实验室与北京邮电大学联合研究团队在NDSS 2026会议上发表了论文《From Obfuscated to Obvious: A Comprehensive JavaScript Deobfuscation Tool for Security Analysis》。该论文由北京邮电大学和奇安信联合培养的卓越工程师计划博士研究生周董超在奇安信技术研究院联培期间主导完成，导师为应凌云博士（奇安信星图实验室）和王东滨教授（北京邮电大学），参与该项工作的还有柴华君（奇安信星图实验室）。这篇论文也是我们继PowerPeeler (CCS 2024)和Invoke-Deobfuscation (DSN 2022)之后的又一项脚本反混淆工作。通过系统性文献调研和样本分析，研究团队将JavaScript混淆技术归纳为四大类共20种技术：词法级混淆（变量重命名、间接属性访问等5种）、语法级混淆（表达式转函数、特殊编码等6种）、语义级混淆（字符串数组、控制流平坦化等7种）和多层混淆（OB混淆、AI辅助混淆2种）。针对这些复杂化的混淆趋势，研究开发的综合性反混淆工具JSIMPLIFIER能够自动破解各种混淆技术，将晦涩的恶意代码还原为安全分析师能够快速理解的清晰形式。二、现有反混淆工具的三重困境当前的JavaScript反混淆工具面临着三个核心挑战，这些挑战严重限制了它们在实际安全分析中的应用效果。输入处理的脆弱性： 现有工具在遇到不同语法、混合编码、打包器包装等”不规范”输入时经常直接崩溃。真实世界的恶意代码往往包含这些问题，导致工具连分析机会都没有。分析策略的单一性： 静态分析工具无法处理运行时依赖的混淆（如动态代码生成），动态分析工具又难以应对大规模样本和安全风险。更关键的是，现有工具通常只针对特定混淆模式，缺乏对多层混淆的综合支持。以JSFireTruck恶意软件为例，这个一个月内感染26.9万网页的攻击使用了复杂的多层混淆，现有工具要么无法处理，要么只能部分解码。输出可读性的缺失： 即使成功反混淆，输出代码仍充斥着_0x4f2a、_0x1b3c等这样的无意义标识符，安全分析师需要花费大量时间才能理解代码逻辑，严重影响威胁响应效率。三、JSIMPLIFIER的创新设计针对以上挑战，我们提出了JSIMPLIFIER，一款集代码预处理、静态抽象语法树分析、动态执行跟踪和大语言模型（LLM）智能变量重命名与代码美化于一体的综合性反混淆工具。JSIMPLIFIER采用三阶段流水线架构，每个阶段专门解决一类核心问题，形成了从”输入修复”到”逻辑还原”再到”可读性提升”的完整处理链条。预处理器：让”坏代码”变”好代码”（Preprocessor）预处理器是整个系统的基石，负责将各种”问题代码”标准化为可分析的格式。它首先进行代码有效性检查，使用容错性强的Meriyah解析器，即使面对不同灵活语法或不完整的代码也能生成完整的抽象语法树（AST）。接着进行词法清理，系统性地处理字符编码冲突，比如将过时的八进制转义序列（如\302）转换为标准的十六进制格式（如\xC2），并重建被分割的多字节UTF-8字符。在语义兼容化阶段，系统将遗留的JavaScript构造替换为跨平台等价物，确保在现代JavaScript环境中的兼容性。最后通过结构优化，利用AST作用域链遍历解决声明冲突，将代码重构为严格模式兼容的形式。反混淆器：静态与动态的完美协作（Deobfuscator）反混淆器采用混合分析设计，巧妙结合静态AST分析和受控动态执行。增强的静态AST分析 方面，JSIMPLIFIER配备强化表达式求值引擎，专门处理混淆代码中的复杂构造：对于LogicalExpressions，实现正确的短路求值处理嵌套的&&和||链（如False && anything直接返回False）；对于ES6解构赋值如[a, b, c] = [getValue(), obj.prop, func.call(this)]，JSIMPLIFIER扩展AssignmentExpression处理，解析左侧模式结构并递归遍历嵌套数组模…

黑客利用c-ares DLL侧加载绕过安全防护并部署恶意软件
type: item
date: 2026-01-14T22:26:54+08:00
description: 该攻击活动被发现分发多种恶意软件，例如Agent Tesla、CryptBot、Formbook、Lumma Stealer、Vidar Stealer、Remcos RAT、Quasar RAT、DCRat和XWorm。恶意活动的目标包括石油天然气、进出口等工商业领域中财务、采购、供应链和行政部门的员工。诱饵文件使用阿拉伯语、西班牙语、葡萄牙语、波斯语和英语编写，表明攻击可能局限于特定区域。攻击的关键在于将恶意版本的DLL文件与存在漏洞的可执行文件置于同一目录。利用搜索顺序劫持漏洞，系统会执行恶意DLL而非合法文件，从而使威胁攻击者获得代码执行能力。此次攻击活动中使用的"ahost.exe"可执行文件由GitKraken签发，通常作为GitKraken桌面应用程序的一部分分发。对VirusTotal上相关样本的分析显示，该恶意软件以数十个文件名进行传播，包括但不限于："RFQ_NO_04958_LG2049 pdf.exe"、"PO-069709-MQ02959-Order-S103509.exe"、"23RDJANUARY OVERDUE.INV.PDF.exe"、"sales contract po-00423-025_pdf.exe"以及"Fatura da DHL.exe"。这表明攻击者使用发票和报价请求（RFQ）等主题诱骗用户打开文件。此消息披露之际，Trellix也报告了利用浏览器套浏览器（BitB）技术的Facebook钓鱼骗局激增。该技术通过模拟Facebook认证界面，欺骗不知情用户输入凭证。攻击者使用iframe元素在受害者合法的浏览器窗口内创建虚假弹窗，使得用户几乎无法区分真实与伪造的登录页面。研究员Mark Joseph Marti表示："攻击通常始于网络钓鱼邮件，这些邮件可能伪装成律师事务所的通信。邮件通常包含关于侵权视频的虚假法律通知，并内含伪装成Facebook登录链接的超链接。"一旦受害者点击短链接，他们将被重定向至伪造的Meta验证码提示页面，该页面指示受害者登录其Facebook账户。这随即会触发一个采用BitB方法的弹窗，显示用于窃取凭证的虚假登录界面。该社会工程活动的其他变种利用声称版权侵权、异常登录警报、因可疑活动导致账户即将关闭或潜在安全漏洞的网络钓鱼邮件。这些信息旨在制造虚假的紧迫感，诱导受害者访问托管在Netlify或Vercel上的页面以窃取其凭证。有证据表明此类钓鱼攻击可能自2025年7月起持续进行。Trellix指出："通过在受害者浏览器内创建定制化的虚假登录弹窗，此方法利用了用户对认证流程的熟悉度，使得凭据窃取在视觉上几乎无法被察觉。关键转变在于对受信任基础设施的滥用：利用Netlify、Vercel等合法云托管服务以及URL缩短器来绕过传统安全过滤器，并为钓鱼页面营造虚假的安全感。"与此同时，研究人员还发现了一个多阶段钓鱼活动，该活动利用Python有效载荷和TryCloudflare隧道，通过指向包含互联网快捷方式（URL）文件的ZIP压缩包的Dropbox链接来分发AsyncRAT。该活动的详细信息由Forcepoint X-Labs于2025年2月首次记录。此次攻击的一个突出特点是滥用了"无文件攻击"（LotL）技术，该技术利用Windows脚本宿主、PowerShell和原生工具，以及Cloudflare的免费层基础设施来托管WebDAV服务器并规避检测。部署在TryCloudflare域上的脚本经过精心设计，用于安装Python环境、通过Windows启动文件夹脚本建立持久性，并将AsyncRAT shellcode注入"explorer.exe"进程。同时，攻击者会向受害者显示诱饵PDF文件作为干扰机制，误导其认为访问的是合法文档。趋势科技表示："本报告分析的AsyncRAT活动表明，威胁攻击者在滥用合法服务和开源工具以规避检测并建立持久远程访问方面日益成熟。通过使用基于Python的脚本并滥用Cloudflare免费层基础设施托管恶意有效载荷，攻击者成功将其活动隐藏在受信任域名下，绕过了传统安全控制。"觉得这篇文章有趣吗？请关注我们的Google News、Twitter和LinkedIn，阅读我们发布的更多独家内容。

乌克兰军队成为新型慈善主题恶意软件攻击目标
type: item
date: 2026-01-14T07:04:15+08:00
description: 微软2026年1月补丁星期二修复3个零日漏洞和114个安全缺陷比利时AZ Monica医院遭网络攻击后关闭所有服务器Target员工确认泄露源代码真实有效Betterment在加密货币诈骗邮件浪潮后确认数据泄露新型VoidLink恶意软件框架瞄准Linux云服务器Central Maine Healthcare数据泄露事件影响超14.5万人比利时AZ Monica医院遭网络攻击后关闭所有服务器新版Windows更新替换即将过期的安全启动证书

2025年攻击者如何利用AI？我们应从中汲取什么教训？
type: item
date: 2026-01-13T19:59:18+08:00
description: 旧剧本，新规模：当防御者追逐潮流时，攻击者正在优化基本功安全行业热衷于讨论“新”威胁。AI驱动的攻击、抗量子加密、零信任架构。但环顾四周，似乎2025年最有效的攻击方式与2015年几乎如出一辙。攻击者仍在利用那些曾经奏效的入口点——只是做得更好了。供应链：仍在向下游蔓延正如Shai Hulud NPM活动所揭示的，供应链仍然是一个主要问题。一个被破坏的软件包可以波及整个依赖树，影响数千个下游项目。攻击向量并未改变，改变的是攻击者识别和利用机会的效率。AI已经降低了攻击门槛。正如AI使单人软件项目能够构建复杂应用一样，网络犯罪领域也是如此。过去需要大型有组织行动才能完成的事情，现在只需精干的团队甚至个人就能执行。我们怀疑其中一些NPM软件包攻击（包括Shai-Hulud）实际上可能是单人操作。随着软件开发变得越来越简单，威胁行为体又展现出打持久战的能力（如XZ Utils攻击）——我们很可能会看到更多案例：攻击者发布合法的软件包以长期建立信任，然后在某一天，只需点击一个按钮，就能向所有下游用户注入恶意功能。钓鱼攻击：仍仅需一次点击官方商店：仍不安全或许最令人沮丧的是：恶意软件仍在绕过官方审查。我们对窃取ChatGPT和DeepSeek对话的恶意Chrome扩展的研究揭示了一个我们从移动应用商店早已了解的事实——自动化审核和人工审核员跟不上攻击者的复杂程度。权限问题听起来应该很熟悉，因为它本已得到解决。Android和iOS为用户提供了精细控制：你可以允许位置访问但屏蔽麦克风，仅允许应用在前台时使用摄像头而非后台。Chrome本可为扩展程序实施相同的模型——技术是现成的。这只是一个优先级和实施的问题。然而，用户面对扩展程序请求“读取所有网站信息”的权限时，只能做出二元选择。如果一个扩展程序要求这种级别的访问权限，在大多数情况下，它将被用于恶意目的，或者会在后续更新中这样做。攻击者没有“炫酷工具综合征”攻击者并未在AI到来时抛弃他们的剧本——而是将其自动化。他们仍在利用供应链、钓鱼开发者、并让恶意软件绕过审查。他们只是用十分之一的资源就做到了。我们不应在基础防护仍未奏效时追逐花哨的新防御策略。修复权限模型、强化供应链验证、使防钓鱼认证成为默认设置。基础工作现在比以往更重要，而非更不重要。攻击者优化了基本功。防御者应优先关注什么？ 加入OX参与我们即将举行的网络研讨会：威胁情报更新：黑客的有效手段与防御方的应对措施我们将探讨正在流行的攻击技术、实际有效的防御手段，以及在资源有限时应优先处理的事项。在此注册。在此注册。注：本文由OX安全研究团队负责人Moshe Siman Tov Bustan独家撰写并供稿。觉得这篇文章有趣？ 本文来自我们一位重要合作伙伴的供稿。 关注我们的Google News、Twitter和LinkedIn阅读更多独家内容。